Patch behebt Sicherheitsloch im MacOS-Update

Nur Patch für MacOS X 10.1.x erhältlich

Ein Patch für das Apple-Betriebssystem MacOS X 10.1.x behebt eine Sicherheitslücke im Modul der Software-Aktualisierung. Über das Sicherheitsleck ist es Angreifern möglich, beliebige Software auf einem betreffenden System zu installieren.

Artikel veröffentlicht am 15. Juli 2002, 9:44 Uhr, Ingo Pakalski

Über "Software-Aktualisierung" respektive "Software Update" lädt man bequem Updates für das Betriebssystem aus dem Internet. In der Standardkonfiguration sucht diese Funktion einmal pro Woche nach neuen Updates und lädt diese per http auf den eigenen Rechner. Dabei findet keine Authentifizierung statt, die sicherstellt, dass man tatsächlich mit dem Apple-Server verbunden ist. So kann ein Angreifer den Anwender mit Spoofing-Programmen einen anderen Server als Apple-Server vorgaukeln, beliebige Programme auf dem betreffenden System installieren und dadurch erheblichen Schaden anrichten. Zwar gibt es vor dem Download von Updates eine Sicherheitsabfrage, die aber wenig nützt, wenn der Anwender meint, Verbindung zu einem Apple-Server zu haben.

Mit dem aktuellen Patch für MacOS X 10.1.x beherrscht der Update-Dienst zwar immer noch keine Authentifizierung, signiert die Update-Pakete aber kryptografisch. Dadurch kann das aktuelle Software-Update ungültige Programme erkennen und löscht diese automatisch.

Höchstwahrscheinlich gilt dieses Sicherheitsleck auch für MacOS X 10.0.x und MacOS 9.x. Derzeit bietet Apple aber noch keinen Patch für diese Systeme an. Hier kann man sich nur dadurch helfen, indem man die Software-Aktualisierung auf manuell stellt und künftig über den Web-Browser nach Updates und Patches sucht.